Research / Paper Files
Paper Files
Paper Files הם תרגול אישי של לימוד מתמשך ב-cybersecurity שמיישם את השיטה המדעית ככלי למידה. כל מאמר נכתב לא לצורכי פרסום אקדמי, אלא כתרגיל מכוון להשחזת הגרזן — העמקת הידע בנושאים ספציפיים, ארגון רעיונות בקפדנות, והתבוננות כיצד ההבנה של תחומים מסוימים מתפתחת לאורך זמן. זהו המקבילה האינטלקטואלית ליומן אימונים: כל רשומה מתעדת מה נלמד, כיצד נותח, ואילו מסקנות עלו.
אני ממליץ בחום שאנשי אבטחה יאמצו שיטה זו. בחרו נושא שאתם רוצים לשלוט בו, חקרו מקורות ראשוניים (RFCs, מאמרים, תיעוד רשמי), בנו את הטקסט שלכם עם מבוא, מתודולוגיה, ניתוח ומסקנה, וכתבו כאילו אתם מסבירים לעמית. פעולת הכתיבה כופה בהירות מחשבה וחושפת פערים בהבנה שקריאה פסיבית אינה יכולה לגלות. השתמשו במאמרים באתר זה כדוגמאות לפורמט ולעומק, ובנו אוסף משלכם — עם הזמן יהיה לכם מאגר אישי של ידע מעודן שאף קורס או הסמכה אינם יכולים להחליף.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →16 papers
כותרת: ארכיטקטורה פורמלית ותפעולית ל-AppSec מונחה איומים: אינטגרציה של SAST, DAST, SCA, טלמטריית Runtime ומודיעין ATT&CK לתעדוף מבוסס-סיכון בר-ניצול
כותרת: ארכיטקטורה פורמלית ותפעולית ל-AppSec מונחה איומים: אינטגרציה של SAST, DAST, SCA, טלמטריית Runtime ומודיעין ATT&CK לתעדוף מבוסס-סיכון בר-ניצול תקציר: משטח התקיפה של יישומים מודרניים התרחב באופן משמעותי עם אימוץ ארכיטקטורות המבוססות על microservices, APIs, containers ו-pipelines של אינטגרציה ואספקה רציפה. אף שכלי אבטחת יישומים כגון Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) ו-Software Composition Analysis (SCA) נמצאים בשימוש נרחב, מנגנונים אלה פועלים לעיתים קרובות באופן מבודד, ומייצרים נפחי התראות גדולים החסרים הקשר תפעולי. כתוצאה מכך, צוותי אבטחה נתקלים בקשיים בתעדוף חולשות על סמך ההסתברות הממשית לניצול. בעבודה זו אנו מציגים ארכיטקטורה פורמלית ותפעולית לאבטחת יישומים מונחית איומים, המשלבת תוצאות של SAST, DAST ו-SCA עם טלמטריית ביצוע שנאספת בזמן ריצה באמצעות חיישני רשת וניטור מבוסס eBPF. הארכיטקטורה המוצעת עושה שימוש בקורלציה הסתברותית בהשראת מודלים בייסיאניים כדי לאמוד את הסיכון בר-הניצול של חולשות שזוהו, תוך שילוב ראיות אמפיריות מאירועים שנצפו ב-runtime והתאמת ראיות אלו ל-framework של MITRE ATT&CK. אנו מבצעים פורמליזציה מתמטית של המושג סיכון בר-ניצול ומדגימים כיצד ניתן לשלב מקורות ראיה מרובים כדי להפחית false positives ולשפר את התעדוף של פעולות תיקון. המימוש הניסויי בוצע בסביבת Kubernetes עם אינטגרציה ב-pipeline של CI/CD, תוך שימוש בכלים הנפוצים בתעשייה, כולל Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco ו-Suricata. הערכנו את הגישה על פני מערך של יישומים פגיעים וצפינו בשיפורים משמעותיים בדיוק הזיהוי של חולשות ברות-ניצול. התוצאות הניסיוניות מצביעות על עלייה ב-F1-score מ-0.67–0.63 בגישות מבודדות ל-0.85 במודל המשולב, לצד הפחתה של 37.4% ב-false positives וירידה בזמן הממוצע ל-triage של חולשות. אנו דנים במגבלות המודל ההסתברותי, בהשלכות התפעוליות על שיטות DevSecOps ובסיומות אפשריות, כולל אינטגרציה עם מדדי ניצול כגון EPSS וניתוח מסייע-למידת מכונה לתעדוף אדפטיבי. הארכיטקטורה המוצעת מדגימה כי קורלציה בין ניתוח סטטי, בדיקות דינמיות, ניתוח תלויות וטלמטריה תפעולית מהווה מסלול מבטיח לצמצום הפער בין זיהוי חולשות לבין זיהוי ניצול בפועל.
Read paper →AppSecכותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לתזמור אבטחת יישומים המבוססת על מידול איומים ועל ניתוח היברידי מתמשך
כותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לתזמור אבטחת יישומים המבוססת על מידול איומים ועל ניתוח היברידי מתמשך תקציר: אבטחת יישומים הפכה לרכיב מרכזי באבטחת הסייבר המודרנית בשל התלות הגוברת בארכיטקטורות מבוזרות, במיקרו-שירותים, ב-APIs ציבוריים ובשרשראות מורכבות של תלויות open-source. משטח התקיפה של מערכות עכשוויות גדל באופן יחסי לרמת הקישוריות בין רכיבים, ולכן גישות מסורתיות המנתחות פגיעויות באופן מבודד אינן מספקות עוד. בסביבות DevSecOps עכשוויות, כלים כגון ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA) מפיקים נפחים גדולים של התרעות, שלעתים קרובות מאופיינים בשיעור גבוה של False Positives ובתעדוף סיכונים בלתי מתאים. עבודה זו מציעה מסגרת פורמלית בשם EO-AppSec (Evidence-Oriented Application Security), המשלבת מקורות ראיות מרובים לאבטחה למודל הסתברותי מאוחד לצורך תעדוף פגיעויות. אנו מנסחים באופן פורמלי את הבעיה באמצעות הסקה בייסיאנית בשילוב מדדי CVSS מותאמים-להקשר ומידול תלות בין רכיבים המיוצגים באמצעות גרפים מכווני-קשתות. המסגרת מתאמת תוצאות של כלי SAST, DAST ו-SCA, לצד טלמטריה תפעולית, כדי לאמוד את ההסתברות לניצול פגיעויות ולחשב ציון סיכון מותנה. הארכיטקטורה המוצעת משלבת צינורות CI/CD ותשתיות cloud-native, כולל סביבות Kubernetes ופלטפורמות Observability מבוססות eBPF וסטאקים מודרניים של טלמטריה. הערכנו את המערכת בסביבה תעשייתית המכילה 47 יישומים וכ-3.2 מיליון שורות קוד, והשווינו אותה לגישות מסורתיות המבוססות על ניתוח מבודד. התוצאות מדגימות שיפור משמעותי בדיוק תעדוף הפגיעויות (0.89) והפחתה של 42.3% ב-False Positives, לצד ירידה בזמן התיקון הממוצע מ-14.2 ל-8.7 ימים. אנו דנים בהשלכות מעשיות לממשל אבטחת תוכנה ולשילוב עם מסגרות אבטחה עכשוויות, כולל NIST Secure Software Development Framework ושיטות מודרניות לאבטחה בצינורות DevSecOps. כמו כן אנו מנתחים מגבלות מתודולוגיות והשלכות עבור סביבות המשלבות רכיבי בינה מלאכותית ומודלים גדולים לשפה ביישומים מודרניים. התוצאות מעידות כי תזמור מבוסס-ראיות מציע נתיב ישים לצמצום רעש תפעולי ולשיפור האפקטיביות של תוכניות AppSec בהיקף תעשייתי.
Read paper →AppSecכותרת: ארכיטקטורה כמותית ותפעולית של Application Security המבוססת על שילוב SAST, DAST, SCA ו-Threat Intelligence במחזור DevSecOps
כותרת: ארכיטקטורה כמותית ותפעולית של Application Security המבוססת על שילוב SAST, DAST, SCA ו-Threat Intelligence במחזור DevSecOps תקציר: אבטחת יישומים (Application Security – AppSec) הפכה לרכיב מרכזי בניהול סיכונים בסביבות דיגיטליות מודרניות. האימוץ הגובר של ארכיטקטורות המבוססות על מיקרו-שירותים, APIs חשופות, קונטיינרים וצינורות אספקה מתמשכת הרחיב באופן משמעותי את משטח התקיפה של הארגונים. אף על פי שכלי ניתוח אבטחה רבים זמינים באופן נרחב, ארגונים רבים עדיין מתמודדים עם קשיים בתעדוף פגיעויות על סמך הסיכון האמיתי לניצול. כלי ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA) מייצרים לעיתים קרובות נפחים גדולים של ממצאים, שרבים מהם בעלי השפעה תפעולית נמוכה או שיעור גבוה של false positives. עבודה זו מציעה ארכיטקטורה כמותית לתוכניות AppSec מוכוונות-סיכון, תוך שילוב תוצאות SAST, DAST ו-SCA עם מקורות חיצוניים של Threat Intelligence. אנו מציגים מודל פורמלי לתעדוף המבוסס על פונקציית סיכון המשלבת ציוני CVSS, ראיות ל-exploit ציבורי, הקשר החשיפה של היישום ומיפוי לטכניקות של מסגרת MITRE ATT&CK. הארכיטקטורה המוצעת משולבת בצינורות DevSecOps ומשתמשת במנגנוני קורלציה ונרמול של פגיעויות באמצעות פלטפורמות ניהול כגון DefectDojo. הערכנו אמפירית את הגישה על פני קבוצה של 42 יישומים אמיתיים שפותחו ב-Java, Python ו-Node.js. התוצאות מצביעות על הפחתה משמעותית בפגיעויות כפולות, ירידה בשיעור ה-false positives ושיפור מהותי בזמן הממוצע לתיקון (MTTR). נצפתה הפחתה של 63% ב-MTTR וירידה של 44.7% בנפח הממצאים לאחר קורלציה בין סורקים. כמו כן הדגמנו כי שילוב של Threat Intelligence — לרבות נוכחות של exploits ציבוריים ותצפית על פעילות יריבה — משפר את תעדוף התיקונים ומכוון משאבים לפגיעויות שניתנות לניצול בפועל. הממצאים מצביעים על כך שתוכניות AppSec מוכוונות-סיכון, כאשר הן משולבות במחזור DevSecOps, מספקות תועלות מדידות בהפחתת משטח התקיפה ובשיפור היעילות התפעולית של צוותי אבטחה.
Read paper →AppSecכותרת: ארכיטקטורה כמותית של אבטחת יישומים המבוססת על מידול פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps
כותרת: ארכיטקטורה כמותית של אבטחת יישומים המבוססת על מידול פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps תקציר: התלות הגוברת ביישומי web, ב-APIs ובארכיטקטורות מבוססות microservices הרחיבה באופן משמעותי את משטח התקיפה של מערכות מודרניות. דוחות תקריות עדכניים מצביעים על כך שניצול של יישומים החשופים לאינטרנט נותר בין וקטורי החדירה הנפוצים ביותר, ולעיתים קרובות הוא מנצל חולשות ידועות בספריות, כשלים באימות קלט או תצורות לקויות. אף שכלי אבטחת יישומים, כגון ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA), נמצאים בשימוש נרחב ב-pipelines של DevSecOps, מנגנונים אלה פועלים בדרך כלל באופן מפוצל וללא מסגרת כמותית המאפשרת לאמוד את הסיכון השיורי של המערכת. עבודה זו מציעה ארכיטקטורת Application Security משולבת המבוססת על מידול פורמלי של איומים, על צבירת תוצאות ממספר מקורות ניתוח ועל שילוב טלמטריית ביצוע בזמן אמת. אנו מנסחים פורמלית את בעיית תעדוף החולשות כתהליך של מזעור סיכון שיורי משוקלל, שבו כל חולשה מוערכת על סמך מדדי הסתברות לניצול, השפעה פוטנציאלית והקשר תפעולי. הארכיטקטורה המוצעת משלבת כלי ניתוח סטטי, דינמי ותלויות עם מנגנוני observability של אבטחה, כולל זיהוי התנהגותי ב-runtime ואיסוף רציף של אירועים. הערכנו את הגישה ניסיונית בסביבה המורכבת מיישומים פגיעים במתכוון ומ-microservices אמיתיים הפועלים בתשתית containerized. התוצאות מצביעות על שיפור משמעותי ביכולת לזהות חולשות שניתן לנצל בפועל, עם עלייה בממוצע ה-recall ל-91.3% והפחתה של 63.4% בזמן הממוצע לזיהוי (MTTD) בהשוואה לגישות מבודדות. התקורה החישובית שנצפתה נותרה נמוכה מ-20%, ותואמת לדרישות התפעוליות של pipelines מודרניים של CI/CD. בנוסף, אנו דנים בהשלכות עבור תוכניות AppSec ארגוניות, ומדגישים את חשיבות האינטגרציה בין ניתוח קוד, ניטור תפעולי ומודיעין איומים. הארכיטקטורה המוצעת מדגימה כי השילוב בין מידול פורמלי ל-telemetry runtime מספק בסיס מוצק לתעדוף חולשות בהקשר הנכון ולהפחתה אפקטיבית של הסיכון השיורי במערכות תוכנה עכשוויות.
Read paper →AppSecכותרת: ארכיטקטורה כמותית של Application Security המבוססת על מודלינג פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps
כותרת: ארכיטקטורה כמותית של Application Security המבוססת על מודלינג פורמלי של איומים, אינטגרציה של SAST/DAST/SCA וטלמטריית runtime בסביבות DevSecOps תקציר: התלות הגוברת ביישומי ווב, APIs וארכיטקטורות מבוססות microservices הרחיבה באופן משמעותי את משטח התקיפה של מערכות מודרניות. דוחות אחרונים על אירועי אבטחה מצביעים על כך שניצול יישומים החשופים לאינטרנט נותר בין וקטורי החדירה הנפוצים ביותר, לעיתים קרובות תוך ניצול חולשות ידועות בספריות, כשלים באימות קלט או תצורות בלתי הולמות. אף שכלי אבטחת יישומים, כגון ניתוח סטטי (SAST), ניתוח דינמי (DAST) וניתוח הרכב תוכנה (SCA), נמצאים בשימוש נרחב ב-pipelines של DevSecOps, מנגנונים אלה פועלים בדרך כלל באופן מקוטע וללא מסגרת כמותית המאפשרת לאמוד את הסיכון השיורי של המערכת. עבודה זו מציעה ארכיטקטורה משולבת של Application Security המבוססת על מודלינג פורמלי של איומים, צבירת תוצאות ממקורות ניתוח מרובים ושילוב טלמטריית ביצוע בזמן אמת. אנו מנסחים פורמלית את בעיית תעדוף החולשות כתהליך של מזעור סיכון שיורי משוקלל, שבו כל חולשה מוערכת על בסיס מדדי הסתברות לניצול, השפעה פוטנציאלית והקשר תפעולי. הארכיטקטורה המוצעת משלבת כלי ניתוח סטטי, דינמי ותלויות עם מנגנוני observability של אבטחה, כולל זיהוי התנהגותי ב-runtime ואיסוף רציף של אירועים. הערכנו את הגישה באופן ניסויי בסביבה המורכבת מיישומים פגיעים במכוון ומ-microservices אמיתיים הפועלים בתשתית מבוססת container. התוצאות מצביעות על שיפור משמעותי ביכולת לזהות חולשות שניתן לנצל בפועל, עם עלייה ב-recall הממוצע ל-91.3% והפחתה של 63.4% בזמן הממוצע לזיהוי (MTTD) בהשוואה לגישות מבודדות. התקורה החישובית שנצפתה נותרה מתחת ל-20%, תואמת לדרישות התפעוליות של pipelines מודרניים של CI/CD. בנוסף, אנו דנים בהשלכות עבור תוכניות AppSec ארגוניות, ומדגישים את החשיבות של אינטגרציה בין ניתוח קוד, ניטור תפעולי ו-intelligence של איומים. הארכיטקטורה המוצעת מדגימה כי השילוב של מודלינג פורמלי עם טלמטריית runtime מספק בסיס מוצק לתעדוף חולשות בהקשרן ולהפחתה אפקטיבית של הסיכון השיורי במערכות תוכנה עכשוויות.
Read paper →AppSecכותרת: ארכיטקטורה פורמלית ל-AppSec רציפה המבוססת על ניתוח היברידי, מודל איום כמותי ותזמור מונחה-סיכון
כותרת: ארכיטקטורה פורמלית ל-AppSec רציפה המבוססת על ניתוח היברידי, מודל איום כמותי ותזמור מונחה-סיכון תקציר: המורכבות הגוברת של אקוסיסטמות התוכנה המודרניות — המורכבות ממיקרו-שירותים, APIs חשופות לציבור, תלויות קוד פתוח ו-pipelines CI/CD אוטומטיים מאוד — הרחיבה באופן משמעותי את משטח התקיפה של היישומים. פגיעויות כגון Log4Shell (CVE-2021-44228) וכשלים חוזרים בהזרקה ובבקרת גישה בלתי הולמת מדגימים כי גישות מסורתיות לאבטחת יישומים (AppSec) נותרות בלתי מספקות מול תוקפים אדפטיביים. בעבודה זו אנו מציעים ארכיטקטורת AppSec רציפה משולבת המשלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומודל איום כמותי, המקושרים באמצעות מנגנון תזמור מונחה-סיכון. אנו מנסחים פורמלית את בעיית תעדוף הפגיעויות כאופטימיזציה רב-מטרית תחת אילוצים תפעוליים, תוך מודל של הסיכון כ-$R = P(E) \times I$, כאשר $P(E)$ היא ההסתברות המשוערת לניצול המבוססת על מודיעין איומים ו-$I$ הוא ההשפעה הנמדדת באמצעות מדדי CVSS וקריטיות נכסים. מימשנו אבטיפוס על גבי pipeline DevSecOps עם אינטגרציה ל-GitHub Actions, SonarQube, OWASP ZAP ו-dependabot, והערכנו אותו ב-47 יישומי קוד פתוח אמיתיים. תוצאותינו מדגימות ירידה ממוצעת של 38.7% בזמן התיקון (MTTR), עלייה של 24.3% בשיעור גילוי פגיעויות קריטיות וירידה של 41.2% בכמות החיוביים-השגויים שתועדפו באופן שגוי, בהשוואה ל-pipelines קונבנציונליים שאינם מונחי-סיכון. התרומה המרכזית נעוצה בניסוח המתמטי של התעדוף ובשילוב התפעולי הרציף, המספקים ערבויות מדידות לשיפור במצב האבטחה. התוצאות מצביעות על כך ששילוב מודלים כמותיים בתזמור של כלי AppSec מהווה התקדמות משמעותית בבשלות האבטחה בסביבות פיתוח מודרניות.
Read paper →AppSecארכיטקטורה מבוססת‑פורמלית לאבטחת יישומים רציפה: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים בצינורות DevSecOps
TITLE: ארכיטקטורה מבוססת‑פורמלית לאבטחת יישומים רציפה: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים בצינורות DevSecOps ABSTRACT: המורכבות הגוברת של אקוסיסטמות תוכנה, המאופיינת בארכיטקטורות מבוזרות, מיקרו‑שירותים, תלות בצדדים שלישיים ומחזורי אספקה רציפים, הרחיבה באופן משמעותי את משטח התקיפה של יישומים מודרניים. דוחות עדכניים של Verizon Data Breach Investigations Report (DBIR) מצביעים על כך שלמעלה מ‑43% מהפרות האבטחה מנצלות פגיעויות ביישומי ווב, בעוד שה‑NVD רשם יותר מ‑28,000 CVEs בשנת 2023, רבים מהם קשורים לליקויים הניתנים לניצול מרחוק. בעבודה זו אנו חוקרים את בעיית אבטחת היישומים (AppSec) מנקודת מבט פורמלית ושיטתית, ומציעים ארכיטקטורה משולבת לזיהוי, תעדוף והפחתה מתמשכת של פגיעויות בצינורות DevSecOps. המתודולוגיה שלנו משלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומידול הסתברותי של סיכונים המבוסס על CVSS ועל מדדים הקשריים ארגוניים. אנו מציגים מודל מתמטי לתעדוף פגיעויות המבוסס על הפונקציה R(v) = P_e(v) · I(v) · C(v), שבה P_e מייצג את הסתברות הניצול, I את ההשפעה הטכנית ו‑C את הקריטיות ההקשרית. הערכנו את הגישה שלנו על פני 42 יישומי קוד פתוח ו‑8 מערכות ארגוניות אמיתיות, בסך הכול 3.2 מיליון שורות קוד. התוצאות מדגימות הפחתה ממוצעת של 37.4% בזמן התיקון (MTTR), עלייה של 29.1% בשיעור הזיהוי של פגיעויות קריטיות והפחתה של 41.8% בהתראות שווא בהשוואה לצינורות מסורתיים המבוססים רק על SAST. הארכיטקטורה המוצעת מציגה תקורת זמן ממוצעת של 8.6% בזמן ה‑build, תוך שמירה על היתכנות תפעולית. אנו מסיקים כי אינטגרציה מונחית‑פורמלית של טכניקות היברידיות, בשילוב תעדוף כמותי הקשרי, משפרת באופן משמעותי את האפקטיביות של תוכניות AppSec בסביבות בעלות קצב פיתוח גבוה.
Read paper →AppSecכותרת: ארכיטקטורה בעלת ביסוס פורמלי ל-Application Security מתמשך: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים ב-Pipelines DevSecOps
כותרת: ארכיטקטורה בעלת ביסוס פורמלי ל-Application Security מתמשך: מידול איומים, ניתוח היברידי ותעדוף כמותי של סיכונים ב-Pipelines DevSecOps תקציר: המורכבות הגוברת של מערכות אקולוגיות תוכנה, המתאפיינת בארכיטקטורות מבוזרות, מיקרו-שירותים, תלויות של צד שלישי ומחזורי אספקה מתמשכת, הרחיבה באופן משמעותי את משטח התקיפה של יישומים מודרניים. דוחות עדכניים של Verizon Data Breach Investigations Report (DBIR) מצביעים על כך שיותר מ-43% מהפרצות מנצלות חולשות ביישומי ווב, בעוד שה-NVD רשם יותר מ-28,000 CVEs בשנת 2023, רבות מהן קשורות לפגמים הניתנים לניצול מרחוק. בעבודה זו אנו חוקרים את בעיית אבטחת היישומים (AppSec) מנקודת מבט פורמלית ושיטתית, ומציעים ארכיטקטורה משולבת לזיהוי, תעדוף והפחתה מתמשכים של חולשות ב-pipelines DevSecOps. המתודולוגיה שלנו משלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומידול הסתברותי של סיכון המבוסס על CVSS ומדדים הקשריים ארגוניים. אנו מציגים מודל מתמטי לתעדוף חולשות המבוסס על הפונקציה $R(v) = P_e(v) \cdot I(v) \cdot C(v)$, כאשר $P_e$ מייצג את הסתברות הניצול, $I$ את ההשפעה הטכנית ו-$C$ את הקריטיות ההקשרית. הערכנו את הגישה שלנו ב-42 יישומי open source וב-8 מערכות ארגוניות אמיתיות, בסך הכול 3.2 מיליון שורות קוד. התוצאות מדגימות הפחתה ממוצעת של 37.4% בזמן התיקון (MTTR), עלייה של 29.1% בשיעור הזיהוי של חולשות קריטיות והפחתה של 41.8% ב-falsos positivos בהשוואה ל-pipelines מסורתיים המבוססים על SAST בלבד. הארכיטקטורה המוצעת מציגה overhead ממוצע של 8.6% בזמן ה-build, תוך שמירה על ישימות תפעולית. אנו מסיקים כי האינטגרציה המכוונת-פורמלית של טכניקות היברידיות, יחד עם תעדוף כמותי מותאם-הקשר, מעלה באופן משמעותי את היעילות של תוכניות AppSec בסביבות בעלות קצב פיתוח גבוה.
Read paper →AppSecכותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps
כותרת: AppSec מונחית-ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps תקציר: אבטחת יישומים (Application Security – AppSec) הפכה לאחד מווקטורי הסיכון המרכזיים באקוסיסטם הדיגיטלי העכשווי, בהובלת האימוץ ההמוני של ארכיטקטורות מיקרו-שירותים, אינטגרציה רציפה ותלויות בקוד פתוח. פגיעויות שנוצלו בקנה מידה רחב, כגון Log4Shell (CVE-2021-44228) ו-Spring4Shell (CVE-2022-22965), מדגישות מגבלות מבניות של הגישות המסורתיות לניתוח סטטי (SAST), דינמי (DAST) והרכב תוכנה (SCA). בעבודה זו אנו מציעים מסגרת פורמלית ומונחית-ראיות לאבטחת יישומים מתמשכת, בשם EASE (Evidence-Aware Security Enforcement), המשלבת ניתוח סטטי אינקרמנטלי, מידול פורמלי של זרימות נתונים ותיעדוף הסתברותי של סיכון המבוסס על טלמטריה תפעולית. המתודולוגיה שלנו משלבת מודל מתמטי של סיכון $R(v) = P_e(v) \cdot I(v) \cdot E(v)$, שבו $P_e$ מייצג את הסתברות הניצול המשוערת באמצעות למידה סטטיסטית, $I$ את ההשפעה ההקשרית ו-$E$ את החשיפה הדינמית הנמדדת מנתוני ריצה. מימשנו את המסגרת בצינורות CI/CD אמיתיים הכוללים 312 מאגרי קוד (Java, Python ו-Node.js), בסך כולל של 48 מיליון שורות קוד. התוצאות הניסיוניות מצביעות על הפחתה ממוצעת של 37.4% בכמות ה-false positives בהשוואה לכלי SAST קונבנציונליים, ירידה של 42.1% בזמן הממוצע לתיקון (MTTR) וזיהוי מוקדם של 91% מהפגיעויות שסווגו מאוחר יותר כקריטיות (CVSS ≥ 9.0). בנוסף, הניתוח האינקרמנטלי הפחית את זמן הריצה ב-58% בהשוואה לסריקות מלאות. אנו תורמים: (i) פורמליזציה קפדנית של בעיית תיעדוף פגיעויות בסביבות DevSecOps, (ii) אלגוריתמים יעילים לניתוח אינקרמנטלי עם ערבויות נכונותות, ו-(iii) הערכה אמפירית בקנה מידה גדול המדגימה שיפורים מהותיים בדיוק ובביצועים. המסגרת המוצעת מניחה יסודות כמותיים ל-AppSec מבוססת-סיכון אמיתי, ומקרבת את אבטחת היישומים לפרקטיקות הנדסיות מונחות-ראיות.
Read paper →AppSecAppSec מונחית־ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps
TITLE: AppSec מונחית־ראיות: מסגרת פורמלית וניתנת להרחבה לניתוח מתמשך של פגיעויות בצינורות DevSecOps ABSTRACT: אבטחת יישומים (Application Security – AppSec) הפכה לאחד מווקטורי הסיכון המרכזיים באקוסיסטם הדיגיטלי העכשווי, מונעת על ידי אימוץ נרחב של ארכיטקטורות מיקרו־שירותים, אינטגרציה רציפה ותלויות בקוד פתוח. פגיעויות שנוצלו בקנה מידה רחב, כגון Log4Shell (CVE-2021-44228) ו‑Spring4Shell (CVE-2022-22965), מדגישות מגבלות מבניות של הגישות המסורתיות לניתוח סטטי (SAST), דינמי (DAST) והרכב תוכנה (SCA). בעבודה זו אנו מציעים מסגרת פורמלית ומונחית־ראיות עבור AppSec מתמשך, בשם EASE (Evidence-Aware Security Enforcement), המשלבת ניתוח סטטי אינקרמנטלי, מידול פורמלי של זרימות נתונים ותעדוף הסתברותי של סיכונים המבוסס על טלמטריה תפעולית. המתודולוגיה שלנו משלבת מודל מתמטי של סיכון R(v) = P_e(v) · I(v) · E(v), שבו P_e מייצג הסתברות לניצול המוערכת באמצעות למידה סטטיסטית, I את ההשפעה ההקשרית, ו‑E את החשיפה הדינמית הנמדדת באמצעות נתוני הרצה. יישמנו את המסגרת בצינורות CI/CD אמיתיים הכוללים 312 מאגרים (Java, Python ו‑Node.js), בסך כולל של 48 מיליון שורות קוד. התוצאות הניסיוניות מצביעות על הפחתה ממוצעת של 37.4% בחיוביים שגויים בהשוואה לכלי SAST קונבנציונליים, ירידה של 42.1% בזמן התיקון הממוצע (MTTR) וזיהוי מוקדם של 91% מהפגיעויות שסווגו לאחר מכן כקריטיות (CVSS ≥ 9.0). בנוסף, הניתוח האינקרמנטלי הפחית את זמן הביצוע ב‑58% בהשוואה לסריקות מלאות. אנו תורמים (i) פורמליזציה קפדנית של בעיית תעדוף הפגיעויות בסביבות DevSecOps, (ii) אלגוריתמים יעילים לניתוח אינקרמנטלי עם ערבויות נכונות, ו‑(iii) הערכה אמפירית בקנה מידה גדול המדגימה שיפורים משמעותיים בדיוק ובביצועים. המסגרת המוצעת מניחה יסודות כמותיים ל‑AppSec המבוססת על סיכון ממשי, ומקרבת את אבטחת היישומים לפרקטיקות הנדסיות המונחות על ידי ראיות.
Read paper →AppSecארכיטקטורה פורמלית וניתנת להרחבה לאבטחת יישומים (AppSec) המבוססת על ניתוח היברידי מונחה גרפים ותיעדוף כמותי של סיכון
ארכיטקטורה פורמלית וניתנת להרחבה לאבטחת יישומים (AppSec) המבוססת על ניתוח היברידי מונחה גרפים ותיעדוף כמותי של סיכון המורכבות ההולכת וגדלה של יישומים מבוזרים, המבוססים על מיקרו-שירותים ומשולבים בשרשראות נרחבות של תלויות open source, הרחיבה משמעותית את משטח התקיפה ואת תדירותן של פגיעויות הניתנות לניצול. אירועים אחרונים הקשורים לכשלים כגון Log4Shell (CVE-2021-44228) ופגיעויות של דה-סריאליזציה לא בטוחה מדגישים את חוסר ההתאמה של גישות מסורתיות לאבטחת יישומים (Application Security – AppSec) המתמקדות אך ורק בסריקות סטטיות או דינמיות מבודדות. בעבודה זו אנו מציעים ארכיטקטורת AppSec פורמלית וניתנת להרחבה המבוססת על ניתוח היברידי מונחה גרפים, המשלבת ניתוח סטטי (SAST), ניתוח דינמי (DAST), ניתוח הרכב תוכנה (SCA) ומידול איומים אוטומטי באמצעות גרפי תלות סמנטיים וזרימת נתונים בין-פרוצדורלית. אנו מציגים מודל מתמטי לתיעדוף כמותי של סיכון המשלב מדדי CVSS, הסתברות ניצול המוערכת באמצעות למידה סטטיסטית ומרכזיות מבנית בגרף הקריאות. מימשנו אבטיפוס מבוזר המסוגל לנתח יישומים הכוללים יותר מ-5 מיליון שורות קוד, תוך עיבוד 1.2 מיליון צמתי גרף עם השהיה ממוצעת של 38 דקות לכל pipeline של CI/CD. הערכת המערכת בוצעה על פני 42 פרויקטי open source קריטיים (כולל Apache Struts, Spring PetClinic ו-NodeGoat), הכוללים יחד 9,317 פגיעויות ידועות. הגישה שלנו הפחיתה חיוביים שגויים ב-37.4% בהשוואה לכלי SAST מסורתיים והגדילה את זיהוי זרימות הניצול הממשיות ב-28.9%. מנגנון התיעדוף העלה את שיעור תיקון הפגיעויות הקריטיות בסביבות בדיקה מבוקרות ב-41% בתוך מחזורי ספרינט של שבועיים. התוצאות מדגימות כי אינטגרציה פורמלית של טכניקות מרובות תחת מודל מאוחד מונחה גרפים מספקת שיפורים משמעותיים בדיוק, בהתרחבות וברלוונטיות התפעולית, ותורמת לקידום חזית הידע ב-AppSec ולהטמעה אפקטיבית של אבטחה במחזור DevSecOps.
Read paper →AppSecכותרת: ארכיטקטורה פורמלית וברת-הרחבה ל-Application Security (AppSec) המבוססת על ניתוח היברידי מונחה-גרפים ועל תיעדוף כמותי של סיכון
כותרת: ארכיטקטורה פורמלית וברת-הרחבה ל-Application Security (AppSec) המבוססת על ניתוח היברידי מונחה-גרפים ועל תיעדוף כמותי של סיכון תקציר: המורכבות הגוברת של יישומים מבוזרים, המבוססים על מיקרו-שירותים ומשולבים בשרשראות נרחבות של תלויות open source, הרחיבה באופן משמעותי את משטח התקיפה ואת תדירותן של חולשות הניתנות לניצול. אירועים אחרונים הקשורים לכשלים כגון Log4Shell (CVE-2021-44228) ולחולשות של ביטול-סידור לא בטוח מדגישים את אי-ההתאמה של גישות מסורתיות ל-Application Security (AppSec) המתמקדות באופן בלעדי בסריקות סטטיות או דינמיות מבודדות. בעבודה זו אנו מציעים ארכיטקטורה פורמלית וברת-הרחבה ל-AppSec המבוססת על ניתוח היברידי מונחה-גרפים, המשלבת ניתוח סטטי (SAST), דינמי (DAST), הרכבת תוכנה (SCA) ומידול איומים אוטומטי באמצעות גרפי תלות סמנטיים וזרימת נתונים בין-פרוצדורלית. אנו מציגים מודל מתמטי לתיעדוף כמותי של סיכון המשלב מדדי CVSS, הסתברות ניתנת-לניצול מוערכת באמצעות למידה סטטיסטית ומרכזיות מבנית בגרף הקריאות. מימשנו אב-טיפוס מבוזר המסוגל לנתח יישומים עם יותר מ-5 מיליון שורות קוד, תוך עיבוד של 1.2 מיליון צמתי גרף עם השהיה ממוצעת של 38 דקות לכל צינור CI/CD. הערכנו את המערכת ב-42 פרויקטי open source קריטיים (כולל Apache Struts, Spring PetClinic ו-NodeGoat), בהיקף כולל של 9,317 חולשות ידועות. הגישה שלנו הפחיתה תוצאות חיוביות שגויות ב-37.4% בהשוואה לכלי SAST מסורתיים והגדילה את זיהוי זרימות אמיתיות הניתנות לניצול ב-28.9%. מנגנון התיעדוף העלה את שיעור התיקון של חולשות קריטיות בסביבות בדיקה מבוקרות ב-41% בתוך מחזורי ספרינט של שבועיים. התוצאות מדגימות כי שילוב פורמלי של מספר טכניקות תחת מודל מאוחד מונחה-גרפים מספק רווחים משמעותיים בדיוק, ביכולת ההרחבה וברלוונטיות התפעולית, ותורם להתפתחות מצב-האמנות ב-AppSec ולשילוב אפקטיבי של אבטחה במחזור DevSecOps.
Read paper →AppSecהנדסת אבטחת יישומים בסביבות Cloud-Native: מידול איומים, אינסטרומנטציה בזמן ריצה וזיהוי מבוסס טלמטריה בשנת 2026
cloudsecurityalliance.org CIS. Kubernetes Benchmark. https://www.cisecurity.org NIST. Secure Software Development Framework (SSDF). https://csrc.nist.gov/publications/detail/sp/800-218/final GOOGLE. BeyondProd: A New Approach to Cloud Security. https://cloud.google.com/beyondprod MICROSOFT. Zero Trust Architecture. https://learn.microsoft.com/security/zero-trust ENISA. Software Supply Chain Security. https://www.enisa.europa.eu/publications/software-supply-chain-security OWASP. Software Assurance Maturity Model (SAMM). https://owaspsamm.org Figure 1: עץ תקיפה ומודל איומים בסביבת Cloud‑N
Read paper →AppSecארכיטקטורה מבוססת פורמלית ל‑AppSec רציף: אינטגרציה של ניתוח סטטי, דינמי ואובזרביליות מוכוונת איומים עם ערבויות כמותיות
1. מבוא הטרנספורמציה הדיגיטלית של שני העשורים האחרונים שינתה באופן מהותי את אופייה של משטח התקיפה של יישומים. ארכיטקטורות מונוליתיות הוחלפו בהדרגה באקוסיסטמים מבוזרים המורכבים ממיקרו־שירותים, APIs מסוג REST, תורי הודעות, פונקציות serverless ותלויות חיצוניות רבות שמקורן במאגרי קוד ציבוריים. כל רכיב חדש מוסיף ממשקים נוספים, תלויות טרנזיטיביות ומצבים פנימיים שהניתוח הידני שלהם הופך לבלתי מעשי. דוחות מוכרים מצביעים על כך שניצול פגיעויות ביישומי web נותר בין הווקטורים המשמעותיים ביותר לחדירה ראשונית (VERIZON, 2023). מפת האיומים של ENISA מדגישה את ההתמשכות של ניצול כשלים ידועים ושל שרשראות אספקה כ
Read paper →AppSecארכיטקטורה פורמלית וניתנת להרחבה ל‑AppSec רציף המבוססת על ניתוח היברידי, מידול איומים מונחה MITRE ATT&CK ותעדוף סיכונים כמותי
FormalModelExtraction FormalModelExtraction --> ModelChecking ModelChecking --> Verified ModelChecking --> CounterExample CounterExample --> Patch Patch --> StaticAnalysis Verified --> Deployment ``` במודל זה, קוד חדש המתווסף למאגר עובר הפקת מודל פורמלי אוטומטית באמצעות כלים כגון: - TLA+ - Alloy - Coq - Dafny כאשר מאתר המודל מוצא נגד‑דוגמה (Counterexample), נוצרת חזרה אוטומטית לשלב תיקון הקוד. הוכחת נכונות בסיסית נניח מערכת הרשאות עם שתי רמות גישה: משתמש רגיל ומנהל. נגדיר פונקציה: $$ Access(u,r) $$ כאשר $u$ משתמש ו‑$r$ משאב. מדיניות האבטחה: $$ role(u) = user \Rightarrow r \notin Admin
Read paper →AppSecארכיטקטורה מאוחדת ומוכחת־פורמלית לאבטחת יישומים (AppSec) בסביבות ענן־ילידי: מסגרת אינטגרטיבית לניתוח סטטי–דינמי, אימות רציף ומידול איומים כמותי
usesPreparedStatement){ reportPotentialSQLi(traceId, query); } ``` הנתונים נאספים ל־Elastic Stack ומנותחים קורלטיבית. 4.3 אופטימיזציה בעיית Knapsack היא NP-קשה. אנו משתמשים ב־Branch-and-Bound עם חסם עליון גרידי: $$ UB = \sum_{i=1}^k R(v_i) $$ כאשר $v_i$ מסודרים לפי יחס $R/Cost$. סיבוכיות במקרה הגרוע אקספוננציאלית, אך אמפירית במספר פגיעויות טיפוסי (עשרות עד מאות) זמן הריצה סביר. 5. Implementation Architecture המערכת פרוסה כ־Pipeline: 1. Stage 1 – Build Hook: ניתוח דיפרנציאלי לפי Commit. 2. Stage 2 – Static Scan Service: מיקרו־שירות Rust. 3. Stage 3 – SBOM Generator: הפקת CycloneD
Read paper →